FreeBSD turvalisuse suurendamine IPFW ja SSHGuardi abil

VPS-serverid on sageli sissetungijate sihikule. Levinud ründetüüp kuvatakse süsteemilogides sadade volitamata ssh-i sisselogimiskatsetena. Tulemüüri seadistamine on väga kasulik, kuid see ei pruugi iseenesest häirivaid sissetungikatseid piisavalt kontrollida.

See õpetus näitab, kuidas luua FreeBSD jaoks täiustatud sissetungimise barjäär , kasutades kahte programmi, ipfwtulemüüri ja sshguard. SSHGuard on väike lisaprogramm, mis jälgib süsteemi logisid "kuritahtlike" kirjete suhtes. Kui rikkujad üritavad juurdepääsu saada, sshguardkästakse ipfwblokeerida rikkuja IP-aadressilt pärinev liiklus. Seejärel suletakse kurjategija tegelikult välja.

Kui on aru saadud, kuidas need programmid töötavad, on serverikaitse haldamine üsna lihtne. Kuigi see juhend keskendub FreeBSD konfigureerimisele, kehtivad selle osad ka muu OS-i ja tulemüüri tarkvara kohta.

Samm 1. IPFW konfigureerimine

FreeBSD pakub vaikimisi ( GENERIC) kernelis 3 tulemüüri ipfw, pf, ja ipfilter. Igal neist on eelised ja fännid, kuid see ipfwon FBSD loomulik tulemüüritarkvara ja seda on meie eesmärkidel üsna lihtne kasutada. Väärib märkimist, et see ipfwteeb paljusid asju, nagu selle man-leht näitab, kuid selliseid võimalusi nagu NAT, liikluse kujundamine jne pole tüüpilise VPS-i olukorra jaoks vaja. Õnneks vastavad tulemüüri põhifunktsioonid meie nõuetele.

Tulemüüri käivitamiseks algkäivitusajal lisage üksusesse järgmine /etc/rc.conf:

firewall_enable="YES"
firewall_script="/usr/local/etc/IPFW.rules"
firewall_logging="YES"

serviceKäsk on saadaval käivitada / peatada tulemüüri käsitsi:

[user@vultr ~]$ sudo service ipfw start

Loomulikult ipfwei tee midagi enne, kui lisab reeglid, sageli failist, selles näites, mis asub aadressil /usr/local/etc/IPFW.rules. Reeglifail võib tegelikult asuda kõikjal või sellel võib olla mis tahes nimi, kui see vastab parameetrile "firewall_script". Reeglifaili kirjeldatakse üksikasjalikult allpool.

Samm 2. Installige ja konfigureerige SSHGuard

sshguardon saadaval erinevate tulemüüridega kasutamiseks mitmes maitses. Kasutage pkgutiliiti toomiseks ja installimiseks sshguard-ipfw:

[user@vultr ~]$ sudo pkg install sshguard-ipfw

Enamikul juhtudel on see kõik, mida tuleb teha. Sobiv muutuja sisestatakse /etc/rc.confalglaadimisel käivitamiseks automaatselt :

sshguard_enable="YES"

Vaikimisi töötavad tavaliselt hästi. Kui on vaja erinevaid väärtusi, annab sshguardman-leht üksikasjalikku teavet parameetrite kohta:

# sshguard--program defaults, so don't need to be in rc.conf unless assigning different value
# sshguard_pidfile="/var/run/sshguard.pid"
# sshguard_watch_logs="/var/log/auth.log:/var/log/mail"
# sshguard_blacklist="40:/var/db/sshguard/blacklist.db"
# sshguard_safety_thresh="40"
# sshguard_pardon_min_interval="420"
# sshguard_prescribe_interval="1200"

Võite alustada sshguardtavalise servicekutsumisega:

[user@vultr ~]$ sudo service sshguard start

3. samm. Looge reeglite skript

Kõige raskem osa on tulemüüri reeglistiku loomine. ipfwsaab kasutada pakutavat /etc/rc.firewallskripti, kuid seda tuleb SSHGuardi ja ka erinevate tööstsenaariumide jaoks muuta. Paljudel veebilehtedel ja FreeBSD käsiraamatul on selle kohta kasulikku teavet. Reeglifaili kirjutamine pole aga nii keeruline, pealegi saab kohandatud reeglistikku olla lihtsam mõista ja vajadusel muuta.

ipfwReeglite oluline tunnus on see, et esimene matš võidab, mis tähendab, et reeglite järjekord on oluline. In ipfwiga reegel on käsk ja reegel fail on käivitatav shell script. See võimaldab reeglistikku muuta, muutes reegleid ja käivitades seejärel reeglifaili shelliskriptina:

[user@vultr /usr/local/etc]$ sudo ./IPFW.rules

Üldjuhul määrab reeglifail ipfwkäsu jaoks muutuja , seejärel tühjendab praegused reeglid, annab välja üldised reeglid, seejärel jätkab "out" reeglite määramisega, millele järgnevad "in" reeglid. IPfw käsiraamatu leht ja muud ressursid sisaldavad palju teavet reeglite struktuuri ja valikute kohta, mida on pehmelt öeldes palju.

Kuna FreeBSD sshguardi versiooni on uuendatud versioonile 1.6.2, on rikkujate blokeerimisreeglite sisestamise meetod muutunud. Nüüd hoitakse rikkujate aadresse ipfw tabelis (täpsemalt tabel 22), selle asemel, et sisestada reeglitesse üle 55 000, nagu varem.

Õnneks on reeglifaili seadistamine tabeli kasutamiseks üsna lihtne. Tuleb lihtsalt tabelireegel õigesse kohta panna ja reegli kirjutamisel kasutada õiget süntaksit.

Kui sshguardrikkuja leiab, lisab see kurjategija aadressi oma musta nimekirja ja lisab aadressi ka ipfwtabelisse, nii et see "käivitab" juurdepääsu keelamise. See reegel saavutab järgmised eesmärgid:

01000 deny ip from table\(22\) to any

Sel juhul on siiski vaja kehtestada reeglid, mis lubavad sissetulevaid teenuseid üle 01000. Oletame näiteks, et aadress 10.20.30.40on tabelis 22 rikkuja ja meil on see ipfw reegel:

56420 allow tcp from any to me dst-port 22 in via $vif

Kuna ipfwkohtab reeglit 01000 enne reeglit 56420 , 10.20.30.40on see blokeeritud . Reegel „luba 22 tolli” ei näe seda kunagi üldse. Kui lubamisreeglil oleks "tavaline" number, näiteks 00420 , lastakse halb liiklus sisse ja seda ei blokeerita (kuna 00420 on väiksem kui 01000 ja "esimene matš võidab").

Värskendatud versiooni hea omadus on see, et nüüd, kui sshguard käivitub, lisatakse tabelisse kõik mustas nimekirjas olevad aadressid ja need on saadaval sissetulevate rikkujate viivitamatuks blokeerimiseks. Must nimekiri on kumulatiivne ja seda säilitatakse seansside vahel.

Siinkohal on ilmselt mõistlik näidata täielikku ipfwreeglistikku, mida on muudetud jaoks sshguard. Kommentaarid peaksid muutma reegliloogika järgimise üsna lihtsaks:

#!/bin/sh

# ipfw config/rules
# from FBSD Handbook, rc.firewall, et. al.

# Flush all rules before we begin.
ipfw -q -f flush

# Set rules command prefix
cmd="ipfw -q add "

vif="vtnet0"

# allow all for localhost
$cmd 00010 allow ip from any to any via lo0

# checks stateful rules.  If marked as "keep-state" the packet has
# already passed through filters and is "OK" without futher
# rule matching
$cmd 00101 check-state

# allow DNS out
$cmd 00110 allow tcp from me to any dst-port 53 out via $vif setup keep-state
$cmd 00111 allow udp from me to any dst-port 53 out via $vif keep-state

# allow dhclient connection out (port numbers are important)
$cmd 00120 allow udp from me 68 to any dst-port 67 out via $vif keep-state

# allow HTTP HTTPS replies
$cmd 00200 allow tcp from any to any dst-port 80 out via $vif setup keep-state
$cmd 00220 allow tcp from any to any dst-port 443 out via $vif setup keep-state

# allow outbound mail
$cmd 00230 allow tcp from any to any dst-port 25 out via $vif setup keep-state
$cmd 00231 allow tcp from any to any dst-port 465 out via $vif setup keep-state
$cmd 00232 allow tcp from any to any dst-port 587 out via $vif setup keep-state

# allow icmp re: ping, et. al. 
# comment this out to disable ping, et.al.
$cmd 00250 allow icmp from any to any out via $vif keep-state

# alllow timeserver out
$cmd 00260 allow tcp from any to any dst-port 37 out via $vif setup keep-state

# allow ntp out
$cmd 00270 allow udp from any to any dst-port 123 out via $vif keep-state

# allow outbound SSH traffic
$cmd 00280 allow tcp from any to any dst-port 22 out via $vif setup keep-state

# otherwise deny outbound packets
# outbound catchall.  
$cmd 00299 deny log ip from any to any out via $vif

# inbound rules
# deny inbound traffic to restricted addresses
$cmd 00300 deny ip from 192.168.0.0/16 to any in via $vif
$cmd 00301 deny ip from 172.16.0.0/12 to any in via $vif
$cmd 00302 deny ip from 10.0.0.0/8 to any in via $vif
$cmd 00303 deny ip from 127.0.0.0/8 to any in via $vif
$cmd 00304 deny ip from 0.0.0.0/8 to any in via $vif
$cmd 00305 deny ip from 169.254.0.0/16 to any in via $vif
$cmd 00306 deny ip from 192.0.2.0/24 to any in via $vif
$cmd 00307 deny ip from 204.152.64.0/23 to any in via $vif
$cmd 00308 deny ip from 224.0.0.0/3 to any in via $vif

# deny inbound packets on these ports
# auth 113, netbios (services) 137/138/139, hosts-nameserver 81 
$cmd 00315 deny tcp from any to any dst-port 113 in via $vif
$cmd 00320 deny tcp from any to any dst-port 137 in via $vif
$cmd 00321 deny tcp from any to any dst-port 138 in via $vif
$cmd 00322 deny tcp from any to any dst-port 139 in via $vif
$cmd 00323 deny tcp from any to any dst-port 81 in via $vif

# deny partial packets
$cmd 00330 deny ip from any to any frag in via $vif
$cmd 00332 deny tcp from any to any established in via $vif

# allowing icmp re: ping, etc.
$cmd 00310 allow icmp from any to any in via $vif

# allowing inbound mail, dhcp, http, https
$cmd 00350 allow udp from any 53 to me in via $vif
$cmd 00360 allow tcp from any 53 to me in via $vif
$cmd 00370 allow udp from any 67 to me dst-port 68 in via $vif keep-state

$cmd 00400 allow tcp from any to me dst-port 80 in via $vif setup limit src-addr 2
$cmd 00410 allow tcp from any to me dst-port 443 in via $vif setup limit src-addr 2

# SSHguard puts offender addresses in table 22. Set up the table rule
# Please note the '\(22\)' syntax, necessary since it's run as shell command
$cmd 01000 deny ip from table\(22\) to any

# allow inbound ssh, mail. PROTECTED SERVICES: numbered ABOVE sshguard blacklist range 
$cmd 56420 allow tcp from any to me dst-port 22 in via $vif setup limit src-addr 2
$cmd 56530 allow tcp from any to any dst-port 25 in via $vif setup keep-state
$cmd 56531 allow tcp from any to any dst-port 465 in via $vif setup keep-state
$cmd 56532 allow tcp from any to any dst-port 587 in via $vif setup keep-state

# deny everything else, and log it
# inbound catchall
$cmd 56599 deny log ip from any to any in via $vif

# ipfw built-in default, don't uncomment
# $cmd 65535 deny ip from any to any

Samm 4. Käivitamine ja testimine

Süsteemi vajadused on erinevad ja reeglistikus kajastuvad erinevad blokeerimise või blokeeringu tühistamise portide valikud. Kui reeglistik on valmis, salvestage fail asukohta /usr/local/etc/IPFW.rulesja käivitage FBSD teenused:

 # service ipfw start
 # service sshguard start

Täiustatud tulemüür peaks nüüd töötama! Kontrollige sshguard:

 [user@vultr ~]$ sudo pgrep -lfa ssh

Kui sshguardsee töötab, kuvatakse selle pid ja täielik käsurida:

720 /usr/local/sbin/sshguard -b 40:/var/db/sshguard/blacklist.db -l /var/log/auth.log -l /var/log/maillog -a 40 -p 420 -s 1200 -w /usr/local/etc/sshguard.whitelist -i /var/run/sshguard.pid

See näitab tulemüüri reeglistikku koos statistikaga ja viimast korda, kui pakett reeglile vastas:

 [user@vultr ~]$ sudo ipfw -cat list

Tundide või päevade pärast lisatakse rikkujate aadressid musta nimekirja ja ka tabelisse 22. Kõigi tabelis olevate aadresside vaatamiseks kasutage seda käsku:

ipfw table 22 list

Tulemus trükitakse järgmiselt:

10.10.10.118/32 0
10.10.10.72/32 0
...

Nagu ülalpool kirjeldatud, on nendelt aadressidelt ühendused keelatud. Loomulikult sshguardei ole esmakordsel käivitamisel loendis ühtegi aadressi, kuid aja jooksul võib see muutuda üsna pikaks. Üks võimalus on luua tabelis mitme kirjega aadressidele eraldi blokeerimisreeglid ja seejärel need mustast nimekirjast kustutada.

5. samm. Olge valvel...

Hea mõte on aeg-ajalt logisid kontrollida, et veenduda sissetungimise kontrolli all hoidmises. Üldiselt /var/log/auth.logja /var/log/securityon informatiivsed. Ilmneda võivad lüngad või vead võrguteenuste katmisel. Tulemüüri reeglistiku muutmine vastavalt vajadusele on serveri halduse tavaline osa.

Varasemates sshguardi versioonides, kui /var/db/sshguard/blacklist.dbfail oli suureks kasvanud, võis see takistada sshguardsüsteemi käivitamisel käivitamist. Musta nimekirja faili eemaldamine või ümbernimetamine on lubatud sshguard. See probleem näib olevat sshguardi uusimas versioonis lahendatud, seega pole see lahendus tõenäoliselt enam vajalik.

Lisage kindlasti IP-aadress, millelt olete SSH-seansiga ühendatud. Kui lukustate end kogemata välja, saate alati ühenduse luua noVNC-konsooliga aadressil https://my.vultr.com ja lisada oma IP-aadressi lubatud loendisse.

Kokkuvõte, kombinatsiooni ipfwja kasutamine sshguardaitab hoida teie FreeBSD süsteemi turvalisena ja oma tööd tegemas. Pealetükkiva võrgutegevuse minimeerimisel on lisakasu: vähem "müra" muudab süsteemi toimimise jälgimise ja häälestamise lihtsamaks, aidates kaasa turvalisema ja paremini töötava serveri loomisele.

FreeBSD süsteemi/serveri tõhus kaitsmine pole eriti keeruline. Kuigi selle käivitamiseks ja käivitamiseks on vaja teha tagasihoidlikke jõupingutusi, tasub see ära oluliselt suurema VPS-i ja projekti turvalisuse tõttu.